K\u00fcnstliche Intelligenz hat l\u00e4ngst Einzug in unseren Arbeitsalltag gehalten. Ob Texte formulieren, Analysen erstellen oder Kundenanfragen beantworten \u2013 KI-Tools versprechen enorme Effizienzgewinne. Werden mittels der KI-Anwendung auch personenbezogene Daten verarbeitet, ist neben der KI-Verordnung auch die DSGVO zu beachten.<\/p>\n
Schatten-KI bezeichnet den Umstand, dass Mitarbeitende des Unternehmens ohne Wissen und Freigabe der Gesch\u00e4ftsf\u00fchrung eigenm\u00e4chtig KI-Tools f\u00fcr dienstliche Zwecke benutzen, ganz nach dem Motto: Das kann doch die KI eben mal schnell f\u00fcr mich machen. Die Gr\u00fcnde hierf\u00fcr sind meist praktischer Natur und oft gut nachvollziehbar. Die Mitarbeitenden stehen unter Zeit- und Erfolgsdruck, es gibt entweder keine von der Unternehmensleitung autorisierten KI-Anwendungen oder sie passen nicht zu den Bed\u00fcrfnissen der Mitarbeitenden und die Basis-Varianten vieler KI-Tools sind kostenlos im Internet nutzbar.<\/p>\n
F\u00fcr das Unternehmen k\u00f6nnen sich daraus allerdings Risiken ergeben: Sensible Unternehmensdaten werden ungewollt an Dritte weitergegeben. Dazu geh\u00f6ren Betriebs- und Gesch\u00e4ftsgeheimnisse, Know-how und vertrauliche Kundeninformationen. Sobald diese Daten das Unternehmen verlassen, ist der Kontrollverlust oft irreversibel.<\/p>\n
Enthalten die in das KI-System eingegebenen Datens\u00e4tze auch noch personenbezogene Daten, ergeben sich heraus besondere Pflichten des Unternehmens nach der DSGVO. Rechtsgrundlagen f\u00fcr die Verarbeitung m\u00fcssen definiert und Informationspflichten erf\u00fcllt werden. Wenn dem Unternehmen aber nicht bekannt ist, dass eine Verarbeitung personenbezogener Daten durch die eigenm\u00e4chtige Nutzung von KI-Tools erfolgt, k\u00f6nnen diese Pflichten nicht erf\u00fcllt werden. Kommt es aber zu Schadenersatzforderungen, z\u00e4hlt die Ausrede, man habe es nicht gewusst, grunds\u00e4tzlich nicht.<\/p>\n
Vom Schatten ins Licht: Um sich vor den negativen Folgen von Schatten-KI zu sch\u00fctzen, braucht es nicht nur Verbote, sondern vor allem klare Strukturen und sichere Alternativen.<\/p>\n
Bei jedem Teilprozess der KI-Anwendung ist kritisch zu pr\u00fcfen, ob personenbezogene Daten verarbeitet werden. Ist dies der Fall, sind die DSGVO-Grunds\u00e4tze zu beachten:<\/p>\n
Menschen nicht zum Objekt machen, verfassungsrechtlich legitimierte Zwecke, Transparenz und Erkl\u00e4rbarkeit, Diskriminierungsvermeidung, Datenminimierung, KI braucht Verantwortlichkeit, sowie technische und organisatorische Standards.<\/p>\n
KI-Anwendungen im Unternehmen sind immer sehr individuell zu begutachten. Es kommt auf die beabsichtigte Datenverarbeitung, die Art der damit verarbeiteten Daten und das damit verbundene Risiko der betroffenen Personen an. Wir empfehlen allgemein folgende datenschutzfreundliche Ma\u00dfnahmen:<\/p>\n